نفوذ به کارخانه تصفیه آب

به گزارش واحد هک و نفوذ سایبربان؛ این حمله سایبری در گزارش نفوذ امنیتی این ماه توسط شرکت Verizon Security Solutions ثبت‌شده است. این کارخانه تصفیه آب از نام مستعار شرکت Kemuri Water یا به‌اختصار به KWC استفاده کرده و مکان آن فاش نشده است.

در این گزارش آمده است که یک گروه «نفوذگر» با پیوندهایی به سوریه رایانه‌های این شرکت را با استفاده از آسیب‌پذیری‌های اصلاح‌نشده در مرورگرهای آن و درگاه پرداخت مشتریان اینترنتی به خطر انداختند.

این نفوذ که شامل تزریق SQL و فیشینگ بوده است، سامانه کنترل عملیاتی KWS‌ را در قسمتAS/400‌ موردحمله قرارداد، زیرا اعتبارنامه‌های ورود برایAS/400 ‌ روی کارگزار اینترنتی آن ذخیره‌شده بود. این سامانه که به اینترنت متصل بود، به مدیریت کنترل‌گرهای منطقی قابل‌برنامه‌ریزی (PLC) می‌پرداخت که دریچه‌ها و مجراهایی را که جریان آب و مواد شیمایی استفاده‌شده برای تصفیه آب در سامانه را کنترل می‌کنند، تنظیم می‌کرده است. یک گروه از کارشناسان جرائم رایانه‌ای از شرکت Verizon پیرویِ این مسئله اعلام کردند که بسیاری از توابع مهم فناوری عملیاتی تنها روی یک سامانه AS/400 ‌منفرد عمل می‌کرده‌اند.

تجزیه‌وتحلیل نهایی جرم‌شناسی نشان می‌دهد که ارتباطی غیرمجاز با الگوی اخیر وجود داشته است. با استفاده از همان اعتبارنامه‌های یافت شده روی نرم‌افزار کارگزارهای پرداخت، عاملان تهدید قادر بوده‌اند با نرم‌افزار کنترل جریان و دریچه آب ارتباط برقرار کنند که آن‌هم روی سامانه AS/400 اجرا می‌شده است. علاوه بر این چهار ارتباط مجزا را در یک دوره ۶۰ روزه کشف‌شده که پژوهش‌گران امنیتی را به سمت ارزیابی هدایت کرده است.

در طول این ارتباطات، عاملان این تهدید، تنظیمات نرم‌افزار را ظاهراً بادانش اندکی، نحوه کنترل سامانه جریان دست‌کاری کرده‌اند. در دست‌کم دو مورد، آن‌ها موفق شده‌اند که سامانه را دست‌کاری کرده تا میزان مواد شیمایی را که برای تصفیه آب استفاده می‌شده تغییر دهند و بنابراین در تصفیه آب و قابلیت‌های تولید نارسایی ایجاد کنند به‌طوری‌که زمان پر کردن ذخایر آب افزایش‌یافته است. خوشبختانه، بر اساس قابلیت‌های هشدار موجود، KWC توانسته است به‌سرعت این مورد را تشخیص دهد و دوباره تغییرات جریان و مواد شیمیایی را بازگرداند که موجب شده تأثیر این حمله به حداقل برسد. هیچ‌گونه انگیزه روشنی برای این حمله پیدا نشده است.

گروه امنیتی Verizon شواهدی را یافته‌اند که نشان می‌دهد نفوذگران کنترل دریچه‌های جریان مواد شیمایی را دو بار دست‌کاری کرده‌اند، هرچند که خوشبختانه هیچ تأثیر خاصی بر جای نگذاشته است. به نظر می‌رسد که نفوذگران فاقد دانش کافی در مورد سامانه‌هایی اسکادا (سامانه‌های کنترل صنعتی) بوده‌اند و یا قصد خرابکاری نداشته‌اند.

علاوه بر این، همین نفوذ موجب شده است که اطلاعات شخصی ۲.۵ میلیون نفر از مشتریان این شرکت آب در معرض خطر قرار گیرد. هیچ شاهدی وجود ندارد که این اطلاعات برای کلاه‌برداری مورد سوءاستفاده قرارگرفته باشند.

بااین‌حال، کل این رخداد نشان‌دهنده ضعف در امنیت سامانه‌های زیرساخت حیاتی است که اغلب قدیمی شده یا بر تنظیمات ناامنی بناشده‌اند.

 (Monzy Merza)، مدیر تحقیقات سایبری ‌(Splunk) و یک محقق امنیتی برجسته نوشته است: ‌«مهاجمان فرصت‌طلب و اختصاص‌یافته به این حملات، به کار خود برای حمله و نفوذ به سامانه‌های قدیمی و اصلاح‌نشده ادامه خواهند داد. ما مشاهده خواهیم کرد که این سامانه‌های زیرساخت تحت حمله قرار خواهند گرفت، زیرا آن‌ها به‌طورکلی منابع اندکی دارند و یا تصور می‌شود که خارج از دسترس بوده و یا به اینترنت متصل نیستند».

او اضافه می‌کند: «جدای از نیاز روشن به سرمایه‌گذاری در تشخیص و جلوگیری از نفوذ، مدیریت و اعمال اصلاحیه‌ها و اقدامات امنیتی تحلیل محور، این نفوذ اخیر اهمیت هوش عملیاتی را بیشتر نشان می‌دهد. گزارش‌هایی همچون گزارش‌های Verizon منابع مهمی برای کسب بینش در این زمینه هستند. سازمان‌ها باید از این اطلاعات برای افزایش قدرت تشخیص امنیت، پیشگیری و پاسخ به حملات پیشرفته استفاده کنند. انجام کار گروهی بهترین مسیر برای مقابله با این حملات است».

گزارش‌ها نشان می‌دهند که نفوذگرانی که به کارخانه‌های تصفیه آب حمله کرده‌اند، نادر هستند اما بی‌سابقه نیستند. برای مثال، در نوامبر سال ۲۰۱۱، تصاویری از رایانه‌های به اینترنت ارسال شد که نشان می‌داد رابط کاربری استفاده‌شده برای نظارت و کنترل تجهیزات بخش آب و فاضلاب شهر هوستون جنوبی در تگزاس به‌وسیله نفوذگرانی که ادعا می‌کردند این سامانه‌ها را تحت اختیار خود قرارگرفته‌اند، موردحمله قرار گرفتند. این ادعا موجب شد که وزارت امنیت داخلی ایالات‌متحده از همکاری با شرکتی که ادعا می‌شد مورد نفوذ قرارگرفته است، منصرف شود.

گزارش‌های جدیدتری که رخ‌داده است مربوط به نفوذگرانی می‌شوند که «خسارات جدی» را بانفوذ به کارخانه فولادسازی آلمانی موجب شدند که بنا به گفته سازمان‌های دولتی آلمان در اثر این حمله یکی از کوره‌های آن منفجر شد. این سازمان می‌گوید که نفوذگران با فریب قربانیان با استفاده از رایانامه‌های فیشینگ وارد سامانه تولید محصول شده بودند.

همچنین به نظر می‌رسد که فیشینگ نیز نقش مهمی را در حملات بدافزار (BlackEnergy) علیه کارخانه تولید برق در اوکراین و سایر اهداف در دسامبر گذشته بازی کرده است. با استفاده از این بدافزار اعتبارنامه‌های کاربران به‌عنوان بخشی از حمله پیچیده‌ای که منجر به قطع برق شد، به سرقت می‌رفته است. درنهایت این کار موجب شد که بیش از ۲۰۰ هزار نفر از شهروندان در ۲۳ دسامبر به‌صورت موقت برق خود را از دست بدهند.